Réglementation du web / Union européenne
Beaucoup d’entreprises suisses croient le droit européen sans effet sur elles parce que leur serveur est en Suisse. Le critère n’a jamais été celui du serveur. Il est celui du public visé.
Dossier vérifié le 27 juillet 2026.
Son art. 3 par. 2 le dit sans détour. Le règlement s’applique au traitement des données de personnes se trouvant dans l’Union par un responsable établi hors de l’Union, dans deux cas : lorsque celui-ci leur offre des biens ou des services, et lorsqu’il suit leur comportement.
Ce qui déclenche l’application n’est donc ni le siège, ni le serveur, ni le domaine. C’est le fait de viser un public européen. Une version allemande destinée à l’Allemagne, des prix en euros, une livraison annoncée vers l’Union, autant d’indices retenus. Un site suisse en français, sans démarchage au-delà de la frontière, qu’un Européen consulte par hasard, n’en relève pas pour autant.
La seconde branche est la plus large et la moins remarquée. Suivre le comportement d’un visiteur européen suffit, indépendamment de toute vente. Un outil de mesure d’audience qui trace le parcours d’un internaute allemand fait entrer un site suisse dans le champ du règlement.
Sources
L’art. 27 du règlement l’impose au responsable de traitement établi hors de l’Union qui tombe sous le coup de l’art. 3 par. 2. Le représentant est une personne ou une entité établie dans un État membre où se trouvent les personnes concernées, désignée par écrit, et à laquelle les autorités comme les particuliers peuvent s’adresser.
Une exception existe, et elle couvre la plupart des petites structures. Elle vise les traitements occasionnels, n’impliquant pas à grande échelle de données sensibles ni de données relatives à des condamnations, et improbables de présenter un risque pour les droits des personnes. Encore faut-il l’avoir examinée plutôt que supposée.
Sources
La directive relative aux exigences en matière d’accessibilité applicables aux produits et services est entrée en application le 28 juin 2025. Elle couvre notamment le commerce électronique, les services bancaires aux consommateurs, les livres numériques et les services de transport de voyageurs, et elle s’adresse à tout opérateur qui offre ces services à des consommateurs dans l’Union, où qu’il soit établi.
Le calendrier distingue deux situations. Les services mis sur le marché après cette date sont conformes dès leur lancement. Ceux qui existaient avant bénéficient d’une période transitoire qui court jusqu’au 28 juin 2030.
La directive exempte les microentreprises qui fournissent des services, soit moins de dix personnes et un chiffre d’affaires ou un bilan annuel qui n’excède pas deux millions d’euros. L’exemption vaut pour les services, non pour les produits, et les États membres l’ont transposée avec des variantes qu’il faut vérifier pays par pays.
Entre la Suisse et l’Union, la circulation est libre dans les deux sens, et c’est un avantage qu’on oublie de compter. La Commission européenne reconnaît à la Suisse un niveau de protection adéquat, décision réexaminée et maintenue en janvier 2024. Symétriquement, le Conseil fédéral fait figurer les États membres sur sa propre liste des États à protection adéquate.
Un hébergement suisse, allemand ou irlandais ne pose donc aucune question de transfert. Ce qui en pose une, ce sont les services établis hors de cet espace, et notamment les outils de mesure, de police de caractères ou de vidéo qui expédient une adresse IP à chaque page vue sans que personne l’ait décidé.
La suite
La Suisse est plus souple que l’Union européenne sur les cookies, et plus stricte qu’on ne le croit sur la responsabilité personnelle. Les quatre points ci-dessous couvrent la quasi-totalité des cas d’un site de présentation ou d’un site éditorial.
Lire ce voletUne centaine d’États disposent aujourd’hui d’une législation sur les données personnelles. Les recenser n’aurait aucun intérêt. Comprendre ce qu’elles ont en commun en a un, parce que cela permet de décider sans consulter à chaque fois.
Lire ce volet